(57)【特許請求の範囲】
【請求項１】
第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおいてクライアント装置の認証のために実行される認証用プログラムであって、
前記管理サーバ装置に、
前記クライアント装置からの証明書の発行要求に応じて、前記第１の認証サーバ装置に証明書の発行依頼を送信するステップを実行させ、
前記第１の認証サーバ装置に、
前記管理サーバ装置からの証明書の発行要求に応じて、前記クライアント装置の証明書を作成するステップと、
前記管理サーバ装置に、前記クライアント装置の証明書を送信するステップとを実行させ、
前記管理サーバ装置に、
前記第１の認証サーバ装置から受信した証明書の関連情報を作成するステップと、
クライアント装置に、前記証明書および前記関連情報を送信するステップとを実行させ、
前記第２の認証サーバ装置に、
前記クライアント装置から送信された前記クライアント装置の証明書を検証することにより、前記クライアント装置の認証を試みるステップと、
前記クライアント装置の認証に失敗した場合に、前記クライアント装置から受信した情報を前記管理サーバ装置へ送信するステップとを実行させ、
前記管理サーバ装置に、
前記第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であるか否かを判断するステップと、
前記第２の認証サーバ装置に対して、前記第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であると判断した場合には、前記クライアント装置の認証を許可するための情報である許可情報を送信し、前記第２の認証サーバ装置から受信した情報が自機が作成した関連情報ではないと判断した場合には、前記クライアント装置の認証を許可しない情報である不許可情報を送信するステップとをさらに実行させ、
前記第２の認証サーバ装置に、
前記クライアント装置に対して、前記管理サーバ装置から前記許可情報を受信したことに応じて、前記クライアント装置の認証に成功した旨の情報を送信し、前記管理サーバ装置から前記不許可情報を受信したことに応じて、前記クライアント装置の認証に失敗した旨の情報を送信するステップをさらに実行させる、コンピュータ読取可能な認証用プログラム。
【請求項２】
第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおいてクライアント装置の認証のために実行される認証用プログラムであって、
前記第１の認証サーバ装置に、
前記クライアント装置からの証明書の発行要求に応じて、前記クライアント装置の証明書を作成するステップと、
前記管理サーバ装置に、証明書の関連情報の作成を依頼するステップとを実行させ、
前記管理サーバ装置に、
前記第１の認証サーバ装置からの依頼に応じて、証明書の関連情報を作成するステップと、
前記第１の認証サーバ装置に、前記関連情報を送信するステップとを実行させ、
前記第１の認証サーバ装置に、
前記クライアント装置に、前記証明書および前記関連情報を送信するステップを実行させ、
前記第２の認証サーバ装置に、
前記クライアント装置から送信された前記クライアント装置の証明書を検証することにより、前記クライアント装置の認証を試みるステップと、
前記クライアント装置の認証に失敗した場合に、前記クライアント装置から受信した情報を前記管理サーバ装置へ送信するステップとを実行させ、
前記管理サーバ装置に、
前記第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であるか否かを判断するステップと、
前記第２の認証サーバ装置に対して、前記第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であると判断した場合には、前記クライアント装置の認証を許可するための情報である許可情報を送信し、前記第２の認証サーバ装置から受信した情報が自機が作成した関連情報ではないと判断した場合には、前記クライアント装置の認証を許可しない情報である不許可情報を送信するステップとをさらに実行させ、
前記第２の認証サーバ装置に、
前記クライアント装置に対して、前記管理サーバ装置から前記許可情報を受信したことに応じて、前記クライアント装置の認証に成功した旨の情報を送信し、前記管理サーバ装置から前記不許可情報を受信したことに応じて、前記クライアント装置の認証に失敗した旨の情報を送信するステップをさらに実行させる、コンピュータ読取可能な認証用プログラム。
【請求項３】
前記クライアント装置に前記証明書と前記関連情報を送信するステップでは、前記関連情報は、前記証明書に埋め込まれて、送信される、請求項１または請求項２に記載の認証用プログラム。
【請求項４】
前記第２の認証サーバ装置に、前記管理サーバ装置から前記許可情報を受信したことに応じて、前記クライアント装置に対して新たな証明書を作成して、前記クライアント装置へ送信するステップをさらに実行させる、請求項１〜請求項３のいずれか１項に記載の認証用プログラム。
【請求項５】
前記管理サーバ装置に、前記第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であると判断した場合に、前記第２の認証サーバ装置に対して、新たな関連情報を送信するステップを実行させ、
前記クライアント装置へ前記新たな証明書を送信するステップでは、前記新たな関連情報を埋め込まれた前記新たな証明書が前記クライアント装置へ送信される、請求項４に記載の認証用プログラム。
【請求項６】
前記管理サーバ装置に、前記第１の認証サーバ装置に対して、前記クライアント装置の証明書の利用停止を指示する情報を送信するステップをさらに実行させる、請求項４または請求項５に記載の認証用プログラム。
【請求項７】
前記管理サーバ装置に、前記管理サーバ装置の署名を作成することにより、前記関連情報を作成させる、請求項１〜請求項６のいずれかに記載の認証用プログラム。
【請求項８】
前記第２の認証サーバ装置に、
前記クライアント装置から、前記クライアント装置の証明書の検証の依頼の際に、前記証明書とともに複数の情報を受信するステップと、
前記管理サーバ装置へ、前記クライアント装置から受信した前記複数の情報を送信するステップとをさらに実行させ、
前記管理サーバ装置に前記許可情報を送信させるステップでは、前記第２の認証サーバ装置から受信した前記複数の情報の中の少なくとも１つが自機の作成した関連情報であると判断した場合には、前記第２の認証サーバ装置に前記許可情報を送信する、請求項１〜請求項７のいずれかに記載の認証用プログラム。
【請求項９】
前記管理サーバ装置に、
作成した前記関連情報を記憶するステップをさらに実行させ、
前記第２の認証サーバ装置から受信した情報が、前記記憶した関連情報と一致するか否かに基づいて、前記第２の認証サーバ装置から受信した情報が自機が作成した関連情報であるか否かを判断させる、請求項１〜請求項８のいずれかに記載の認証用プログラム。
【請求項１０】
前記管理サーバ装置に、
前記関連情報を、証明書および当該証明書を作成した第１の認証サーバ装置のドメイン情報を関連付けて記憶させる、請求項９に記載の認証用プログラム。
【請求項１１】
第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた、クライアント装置の認証のための認証システムであって、
前記管理サーバ装置は、
前記クライアント装置からの証明書の発行要求に応じて、前記第１の認証サーバ装置に証明書の発行依頼を送信する第１の送信部を含み、
前記第１の認証サーバ装置は、
前記管理サーバ装置からの証明書の発行要求に応じて、前記クライアント装置の証明書を作成する第１の作成部と、
前記管理サーバ装置に、前記クライアント装置の証明書を送信する第２の送信部とを含み、
前記管理サーバ装置は、
前記第１の認証サーバ装置から受信した証明書の関連情報を作成する第２の作成部と、
前記関連情報を前記クライアントの証明書と関連付けて記憶する関連情報記憶部とを含み、
前記第１の送信部は、クライアント装置に、前記証明書および前記関連情報を送信し、
前記第２の認証サーバ装置は、
前記クライアント装置から送信された前記クライアント装置の証明書を検証することにより、前記クライアント装置の認証を試みる認証部と、
前記認証部が前記クライアント装置の認証に失敗した場合に、前記クライアント装置から受信した情報を前記管理サーバ装置へ送信する第３の送信部とを含み、
前記管理サーバ装置は、
前記第２の認証サーバ装置から受信した情報と前記関連情報記憶部に記憶されている関連情報とを対比する対比部と、
前記第２の認証サーバ装置に対して、前記第２の認証サーバ装置から受信した情報が前記関連情報記憶部に記憶されている関連情報と一致した場合には、前記クライアント装置の認証を許可するための情報である許可情報を送信し、前記第２の認証サーバ装置から受信した情報が前記関連情報記憶部に記憶されている関連情報と一致しなかった場合には、前記クライアント装置の認証を許可しないための情報である不許可情報を送信する第４の送信部とをさらに含み、
前記第２の認証サーバ装置は、
前記クライアント装置に対して、前記管理サーバ装置から前記許可情報を受信したことに応じて、前記クライアント装置の認証に成功した旨の情報を送信し、前記管理サーバ装置から前記不許可情報を受信したことに応じて、前記クライアント装置の認証に失敗した旨の情報を送信する第５の送信部をさらに含む、認証システム。
【請求項１２】
第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた、クライアント装置の認証のための認証システムであって、
前記第１の認証サーバ装置は、
前記クライアント装置からの証明書の発行要求に応じて、前記クライアント装置の証明書を作成する第１の作成部と、
前記管理サーバ装置に、証明書の関連情報の作成を依頼する情報を送信する第１の送信部とを含み、
前記管理サーバ装置は、
前記第１の認証サーバ装置からの依頼に応じて、証明書の関連情報を作成する第２の作成部と、
前記関連情報を前記クライアントの証明書と関連付けて記憶する関連情報記憶部と、
前記第１の認証サーバ装置に、前記関連情報を送信する第２の送信部とを含み、
前記第１の送信部は、前記クライアント装置に、前記証明書および前記関連情報を送信し、
前記第２の認証サーバ装置は、
前記クライアント装置から送信された前記クライアント装置の証明書を検証することにより、前記クライアント装置の認証を試みる認証部と、
前記クライアント装置の認証に失敗した場合に、前記クライアント装置から受信した情報を前記管理サーバ装置へ送信する第３の送信部とを含み、
前記管理サーバ装置は、
前記第２の認証サーバ装置から受信した情報と前記関連情報記憶部に記憶されている関連情報とを対比する対比部と、
前記第２の認証サーバ装置に対して、前記第２の認証サーバ装置から受信した情報が前記関連情報記憶部に記憶されている関連情報と一致した場合には、前記クライアント装置の認証を許可するための情報である許可情報を送信し、前記第２の認証サーバ装置から受信した情報が前記関連情報記憶部に記憶されている関連情報と一致しなかった場合には、前記クライアント装置の認証を許可しないための情報である不許可情報を送信する第４の送信部とをさらに含み、
前記第２の認証サーバ装置は、
前記クライアント装置に対して、前記管理サーバ装置から前記許可情報を受信したことに応じて、前記クライアント装置の認証に成功した旨の情報を送信し、前記管理サーバ装置から前記不許可情報を受信したことに応じて、前記クライアント装置の認証に失敗した旨の情報を送信する第５の送信部をさらに含む、認証システム。
【請求項１３】
第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおける、クライアント装置の認証方法であって、
前記第１の認証サーバ装置は、請求項１に記載の認証用プログラムが当該第１の認証サーバ装置に実行させるすべてのステップを実行し、
前記第２の認証サーバ装置は、請求項１に記載の認証用プログラムが当該第２の認証サーバ装置に実行させるすべてのステップを実行し、
前記管理サーバ装置は、請求項１に記載の認証用プログラムが当該管理サーバ装置に実行させるすべてのステップを実行する、認証方法。
【請求項１４】
第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおける、クライアント装置の認証方法であって、
前記第１の認証サーバ装置は、請求項２に記載の認証用プログラムが当該第１の認証サーバ装置に実行させるすべてのステップを実行し、
前記第２の認証サーバ装置は、請求項２に記載の認証用プログラムが当該第２の認証サーバ装置に実行させるすべてのステップを実行し、
前記管理サーバ装置は、請求項２に記載の認証用プログラムが当該管理サーバ装置に実行させるすべてのステップを実行する、認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証システムに関し、特に、クライアントの証明書の認証を行なう認証システムに関する。
【背景技術】
【０００２】
従来から、ネットワークにおいて、認証サーバ装置が、クライアントのデバイスにインストールされた電子証明書等の認証情報によって当該デバイスの認証を行なう技術が種々提案されている。
【０００３】
なお、従来の技術では、あるクライアントの有する認証情報が、あるネットワークの認証サーバ装置が発行したものである場合に、当該認証情報によっては他のネットワークの認証サーバ装置による認証を受けることができない場合があった。
【０００４】
このような場合に、クライアントが当該他のネットワークの認証サーバ装置による認証を受けることができるようにするための技術として、たとえば、特許文献１に記載されるように、認証サーバ装置間で連携をとる認証システムが提案されていた。
【０００５】
特許文献１に記載の技術では、ホームサーバ装置により発行された証明書がインストールされているクライアントが、別の認証サーバ装置に対してネットワーク接続を要求した場合、当該別の認証サーバ装置は、当該クライアントに指定させる等して得たホームサーバ装置の情報に基づいて、当該ホームサーバ装置にリダイレクトをする。これに応じて、ホームサーバ装置は、クライアントにＩＤやパスワードなどの認証情報を要求し、当該要求に対して入力された認証情報によって認証が成功すれば、期限付きの認証チケットを発行し、クライアントおよび当該他の認証サーバ装置の双方に、当該認証チケットを送信する。当該認証チケットにより、当該クライアントは、当該他の認証サーバ装置により認証を受けることができる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−１１０３７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記の特許文献１に記載の技術では、クライアントのユーザがホームサーバ装置とは別の認証サーバ装置にアクセスしようとした場合、当該ユーザに、当該別の認証サーバ装置に対して改めて証明書の発行を要求するための手続を必要とすることなく、当該別の認証サーバ装置との通信を可能にすることができる。
【０００８】
しかしながら、上記の特許文献１に記載の技術では、認証サーバ装置同士が接続できない場合には、上記認証チケットの発行がなされず、クライアントは当該他の認証サーバ装置において認証を受けることができなかった。また、発行される認証チケットには有効期限が設定されているため、別の認証サーバ装置は、当該クライアントから、有効期限が切れるごとにホームサーバ装置へのリダイレクトを必要とされていた。したがって、そのことが、当該別の認証サーバ装置の負荷を増大させていた。
【０００９】
本発明は、係る実情に鑑み考え出されたものであり、その目的は、複数の認証サーバ装置を含む認証システムにおいて、認証サーバ装置同士の接続ができない場合であっても、これらの中のある認証サーバ装置が作成した証明書に関連付けされた認証情報を有するクライアント装置が他の認証サーバ装置により認証を受けることができ、かつ、認証サーバ装置の負荷を抑えることである。
【課題を解決するための手段】
【００１０】
本発明のある局面に従った認証用プログラムは、第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおいてクライアント装置の認証のために実行される認証用プログラムであって、管理サーバ装置に、クライアント装置からの証明書の発行要求に応じて、第１の認証サーバ装置に証明書の発行依頼を送信するステップを実行させ、第１の認証サーバ装置に、管理サーバ装置からの証明書の発行要求に応じて、クライアント装置の証明書を作成するステップと、管理サーバ装置に、クライアント装置の証明書を送信するステップとを実行させ、管理サーバ装置に、第１の認証サーバ装置から受信した証明書の関連情報を作成するステップと、クライアント装置に、証明書および関連情報を送信するステップとを実行させ、第２の認証サーバ装置に、クライアント装置から送信されたクライアント装置の証明書を検証することにより、クライアント装置の認証を試みるステップと、クライアント装置の認証に失敗した場合に、クライアント装置から受信した情報を管理サーバ装置へ送信するステップとを実行させ、管理サーバ装置に、第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であるか否かを判断するステップと、第２の認証サーバ装置に対して、第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であると判断した場合には、クライアント装置の認証を許可するための情報である許可情報を送信し、第２の認証サーバ装置から受信した情報が自機が作成した関連情報ではないと判断した場合には、クライアント装置の認証を許可しない情報である不許可情報を送信するステップとをさらに実行させ、第２の認証サーバ装置に、クライアント装置に対して、管理サーバ装置から許可情報を受信したことに応じて、クライアント装置の認証に成功した旨の情報を送信し、管理サーバ装置から不許可情報を受信したことに応じて、クライアント装置の認証に失敗した旨の情報を送信するステップをさらに実行させる。
本発明の他の局面に従った認証用プログラムは、第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおいてクライアント装置の認証のために実行される認証用プログラムであって、第１の認証サーバ装置に、クライアント装置からの証明書の発行要求に応じて、クライアント装置の証明書を作成するステップと、管理サーバ装置に、証明書の関連情報の作成を依頼するステップとを実行させ、管理サーバ装置に、第１の認証サーバ装置からの依頼に応じて、証明書の関連情報を作成するステップと、第１の認証サーバ装置に、関連情報を送信するステップとを実行させ、第１の認証サーバ装置に、クライアント装置に、証明書および関連情報を送信するステップを実行させ、第２の認証サーバ装置に、クライアント装置から送信されたクライアント装置の証明書を検証することにより、クライアント装置の認証を試みるステップと、クライアント装置の認証に失敗した場合に、クライアント装置から受信した情報を管理サーバ装置へ送信するステップとを実行させ、管理サーバ装置に、第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であるか否かを判断するステップと、第２の認証サーバ装置に対して、第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であると判断した場合には、クライアント装置の認証を許可するための情報である許可情報を送信し、第２の認証サーバ装置から受信した情報が自機が作成した関連情報ではないと判断した場合には、クライアント装置の認証を許可しない情報である不許可情報を送信するステップとをさらに実行させ、第２の認証サーバ装置に、クライアント装置に対して、管理サーバ装置から許可情報を受信したことに応じて、クライアント装置の認証に成功した旨の情報を送信し、管理サーバ装置から不許可情報を受信したことに応じて、クライアント装置の認証に失敗した旨の情報を送信するステップをさらに実行させる。
【００１１】
また、本発明の認証用プログラムは、クライアント装置に証明書と関連情報を送信するステップでは、関連情報は、証明書に埋め込まれて、送信される。
【００１２】
また、本発明の認証用プログラムは、第２の認証サーバ装置に、管理サーバ装置から許可情報を受信したことに応じて、クライアント装置に対して新たな証明書を作成して、クライアント装置へ送信するステップをさらに実行させる。
【００１３】
また、本発明の認証用プログラムは、管理サーバ装置に、第２の認証サーバ装置から受信した情報が自機によって作成された関連情報であると判断した場合に、第２の認証サーバ装置に対して、新たな関連情報を送信するステップを実行させ、クライアント装置へ新たな証明書を送信するステップでは、新たな関連情報を埋め込まれた新たな証明書がクライアント装置へ送信される。
【００１５】
また、本発明の認証用プログラムは、管理サーバ装置に、第１の認証サーバ装置に対して、クライアント装置の証明書の利用停止を指示する情報を送信するステップをさらに実行させる。
【００１６】
また、本発明の認証用プログラムは、管理サーバ装置に、管理サーバ装置の署名を作成することにより、関連情報を作成させる。
【００１７】
また、本発明の認証用プログラムは、第２の認証サーバ装置に、クライアント装置から、クライアント装置の証明書の検証の依頼の際に、証明書とともに複数の情報を受信するステップと、管理サーバ装置へ、クライアント装置から受信した複数の情報を送信するステップとをさらに実行させ、管理サーバ装置に許可情報を送信させるステップでは、第２の認証サーバ装置から受信した複数の情報の中の少なくとも１つが自機の作成した関連情報であると判断した場合には、第２の認証サーバ装置に許可情報を送信する。
【００１８】
また、本発明の認証用プログラムは、管理サーバ装置に、作成した関連情報を記憶するステップをさらに実行させ、第２の認証サーバ装置から受信した情報が、記憶した関連情報と一致するか否かに基づいて、第２の認証サーバ装置から受信した情報が自機が作成した関連情報であるか否かを判断させる。
【００１９】
また、本発明の認証用プログラムは、管理サーバ装置に、関連情報を、証明書および当該証明書を作成した第１の認証サーバのドメイン情報を関連付けて記憶させる。
【００２０】
本発明のある局面に従った認証システムは、第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた、クライアント装置の認証のための認証システムであって、管理サーバ装置は、クライアント装置からの証明書の発行要求に応じて、第１の認証サーバ装置に証明書の発行依頼を送信する第１の送信部を含み、第１の認証サーバ装置は、管理サーバ装置からの証明書の発行要求に応じて、クライアント装置の証明書を作成する第１の作成部と、管理サーバ装置に、クライアント装置の証明書を送信する第２の送信部とを含み、管理サーバ装置は、第１の認証サーバ装置から受信した証明書の関連情報を作成する第２の作成部と、関連情報をクライアントの証明書と関連付けて記憶する関連情報記憶部とを含み、第１の送信部は、クライアント装置に、証明書および関連情報を送信し、第２の認証サーバ装置は、クライアント装置から送信されたクライアント装置の証明書を検証することにより、クライアント装置の認証を試みる認証部と、認証部がクライアント装置の認証に失敗した場合に、クライアント装置から受信した情報を管理サーバ装置へ送信する第３の送信部とを含み、管理サーバ装置は、第２の認証サーバ装置から受信した情報と関連情報記憶部に記憶されている関連情報とを対比する対比部と、第２の認証サーバ装置に対して、第２の認証サーバ装置から受信した情報が関連情報記憶部に記憶されている関連情報と一致した場合には、クライアント装置の認証を許可するための情報である許可情報を送信し、第２の認証サーバ装置から受信した情報が関連情報記憶部に記憶されている関連情報と一致しなかった場合には、クライアント装置の認証を許可しないための情報である不許可情報を送信する第４の送信部とをさらに含み、第２の認証サーバ装置は、クライアント装置に対して、管理サーバ装置から許可情報を受信したことに応じて、クライアント装置の認証に成功した旨の情報を送信し、管理サーバ装置から不許可情報を受信したことに応じて、クライアント装置の認証に失敗した旨の情報を送信する第５の送信部をさらに含む。
【００２１】
本発明の他の局面に従った認証システムは、第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた、クライアント装置の認証のための認証システムであって、第１の認証サーバ装置は、クライアント装置からの証明書の発行要求に応じて、クライアント装置の証明書を作成する第１の作成部と、管理サーバ装置に、証明書の関連情報の作成を依頼する情報を送信する第１の送信部とを含み、管理サーバ装置は、第１の認証サーバ装置からの依頼に応じて、証明書の関連情報を作成する第２の作成部と、関連情報をクライアントの証明書と関連付けて記憶する関連情報記憶部と、第１の認証サーバ装置に、関連情報を送信する第２の送信部とを含み、第１の送信部は、クライアント装置に、証明書および関連情報を送信し、第２の認証サーバ装置は、クライアント装置から送信されたクライアント装置の証明書を検証することにより、クライアント装置の認証を試みる認証部と、クライアント装置の認証に失敗した場合に、クライアント装置から受信した情報を管理サーバ装置へ送信する第３の送信部とを含み、管理サーバ装置は、第２の認証サーバ装置から受信した情報と関連情報記憶部に記憶されている関連情報とを対比する対比部と、第２の認証サーバ装置に対して、第２の認証サーバ装置から受信した情報が関連情報記憶部に記憶されている関連情報と一致した場合には、クライアント装置の認証を許可するための情報である許可情報を送信し、第２の認証サーバ装置から受信した情報が関連情報記憶部に記憶されている関連情報と一致しなかった場合には、クライアント装置の認証を許可しないための情報である不許可情報を送信する第４の送信部とをさらに含み、第２の認証サーバ装置は、クライアント装置に対して、管理サーバ装置から許可情報を受信したことに応じて、クライアント装置の認証に成功した旨の情報を送信し、管理サーバ装置から不許可情報を受信したことに応じて、クライアント装置の認証に失敗した旨の情報を送信する第５の送信部をさらに含む。
【００２２】
本発明のある局目に従った認証方法は、第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおける、クライアント装置の認証方法であって、第１の認証サーバ装置は、請求項１に記載の認証用プログラムが当該第１の認証サーバ装置に実行させるすべてのステップを実行し、第２の認証サーバ装置は、請求項１に記載の認証用プログラムが当該第２の認証サーバ装置に実行させるすべてのステップを実行し、管理サーバ装置は、請求項１に記載の認証用プログラムが当該管理サーバ装置に実行させるすべてのステップを実行する。
【００２３】
本発明の他の局面に従った認証方法は、第１の認証サーバ装置と、第２の認証サーバ装置と、管理サーバ装置とを備えた認証システムにおける、クライアント装置の認証方法であって、第１の認証サーバ装置は、請求項２に記載の認証用プログラムが当該第１の認証サーバ装置に実行させるすべてのステップを実行し、第２の認証サーバ装置は、請求項２に記載の認証用プログラムが当該第２の認証サーバ装置に実行させるすべてのステップを実行し、管理サーバ装置は、請求項２に記載の認証用プログラムが当該管理サーバ装置に実行させるすべてのステップを実行する。
【発明の効果】
【００２５】
本発明によれば、第１の認証サーバが発行した証明書を有するクライアントが第２の認証サーバに認証を要求した場合、第２の認証サーバによる認証は一旦失敗する。なお、第１の認証サーバが発行した証明書に合わせて、管理サーバに記憶されクライアントの証明書に関連付けられた関連情報が、クライアントに送信される。そして、第２の認証サーバにおいてクライアントの認証が失敗すると、第２の認証サーバは、クライアントから証明書と合わせて受信した関連情報を、管理サーバに送信する。管理サーバは、第２の認証サーバから受信した関連情報が、自機が作成したものであるかどうかを判断し、そうであると判断すれば、第２の認証サーバに対して、クライアントの認証を許可する情報を送信する。また、そうでなければ、第２の認証サーバに対して、クライアントの認証を許可しない情報を送信する。
【００２６】
つまり、管理サーバが、第２の認証サーバから自機が作成した関連情報を受信したことを条件として、第２の認証サーバに、クライアントの認証を許可する情報を出力する。これにより、第１の認証サーバの証明書のみを有するクライアントのユーザに対して、第２の認証サーバに証明書発行用の情報の送信等のための操作を必要とすることなく、第２の認証サーバによる認証を受けることができる。また、第１の認証サーバと第２の認証サーバが直接通信ができなくとも、第２の認証サーバによる認証を受けることができる。
【図面の簡単な説明】
【００２７】
【図１】本発明の認証システムの第１の実施の形態の構成を模式的に示す図である。
【図２】図１のドメインに含まれるネットワークの構成を模式的に示す図である。
【図３】図１のクライアントを構成するＰＣのハードウェア構成を模式的に示す図である。
【図４】図１の管理サーバを構成するコンピュータのハードウェア構成を模式的に示す図である。
【図５】図１の認証サーバを構成するコンピュータのハードウェア構成を模式的に示す図である。
【図６】図１のクライアントの機能ブロックを模式的に示す図である。
【図７】図１の管理サーバの機能ブロックを模式的に示す図である。
【図８】図１の認証サーバの機能ブロックを模式的に示す図である。
【図９】図１の管理サーバに記憶されているライセンスキー管理テーブルの内容を模式的に示す図である。
【図１０】認証サーバによって発行され、ライセンスキーを埋め込まれた証明書の構成を模式的に示す図である。
【図１１】図１の認証システムにおける通信内容を説明するための図である。
【図１２】本発明の認証システムの第２の実施の形態の構成を模式的に示す図である。
【図１３】本発明の認証システムの第３の実施の形態の構成を模式的に示す図である。
【発明を実施するための形態】
【００２８】
以下、本発明に係る認証システムの実施の形態について、図面を参照して説明する。各図において、同じ構成要素には同じ符号を付し、共通する特徴については詳細な説明を繰返さない。
【００２９】
［第１の実施の形態］
図１は、認証システムの第１の実施の形態の構成を模式的に示す図である。
【００３０】
本実施の形態の認証システムでは、複数のドメイン（ドメイン７０１（図１では「Area.JP」と記載）、および、第２のドメイン８０１（図１では、「Area.EU」と記載））が定義されている。そして、それぞれのドメインに設けられた認証サーバ装置（認証サーバ装置７００，８００）が、各ドメインに属するクライアント装置に対して証明書を発行することができる。
【００３１】
図１では、ドメイン７０１に、クライアント装置２００が所属している。
クライアント装置２００は、認証サーバ装置７００によって発行された証明書によって、認証サーバ装置７００による認証を受けることができる。なお、クライアント装置２００は、認証サーバ装置８００によっては、基本的に、認証を受けられないものとする。
【００３２】
本実施の形態では、クライアント装置２００は、管理サーバ装置６００に対して証明書発行依頼を送信すると、管理サーバ装置６００は、当該証明書発行依頼を認証サーバ装置７００へ送信するとともに、当該依頼に応じて認証サーバ装置７００から送信されてきた証明書に対して、ライセンスキーを作成して埋め込み、ライセンスキーを埋め込んだ後の証明書を、クライアント装置２００へと送信する。
【００３３】
そして、本実施の形態では、それぞれのドメインに設けられた認証サーバ装置７００，８００と通信でき、ライセンスマネジメント機関（ＬＭＡ）として機能する、管理サーバ装置６００が設けられている。
【００３４】
本実施の形態では、認証サーバ装置７００が作成した証明書とともに、管理サーバ装置６００によって作成された関連情報（たとえば、後述するライセンスデータ）が、クライアント装置２００に送信される。
【００３５】
管理サーバ装置６００には、認証サーバ装置７００が発行した証明書と、証明書が認証を受け得るドメインを特定する情報と、上記した関連情報とが、関連付けられて記憶されている。
【００３６】
本実施の形態では、クライアント装置２００の証明書の認証が認証サーバ装置８００に依頼される際には、クライアント装置２００から当該認証サーバ装置８００に、証明書と、当該証明書ともに受信した関連情報が、送信される。
【００３７】
認証サーバ装置８００は、証明書の認証に失敗したとき、関連情報を、管理サーバ装置６００へ送信する。
【００３８】
管理サーバ装置６００は、受信した関連情報が記憶している関連情報に含まれるか否かを判断し、含まれると判断すると、認証を許可する情報を認証サーバ装置８００に返す。
【００３９】
これに応じて、認証サーバ装置８００は、認証を依頼してきたクライアント装置２００に対し、認証が成功した情報を送信する。
【００４０】
以下、本実施の形態の認証システムの構成および当該認証システムにおいて実行される処理の内容について、より具体的に説明する。
【００４１】
（証明書の発行依頼）
まず、ドメイン７０１に存在するクライアント２００が、認証サーバ７００に対して証明書の発行依頼を送信する。この発行依頼には、当該証明書を利用するドメインを特定するコード（以下、「Region情報」とする）、および、証明書の発行要求として一般に送信される情報（署名要求：Certificate Signing Request）が含まれる。
【００４２】
当該発行依頼に応じて、認証サーバ６００は、当該発行依頼に含まれるRegion情報に対応する認証サーバに対して、当該クライアント２００に対する証明書の発行を依頼する情報を送信する。
【００４３】
管理サーバ６００からの証明書の発行依頼に応じて、第１の認証サーバ７００は、クライアント２００が送信してきた情報に署名を施し、証明書１０Ａを作成して、管理サーバ６００へ送信する。
【００４４】
管理サーバ６００は、クライアント２００からの発行依頼に応じて、当該発行依頼に含まれるRegion情報に対応する認証サーバに証明書の発行依頼を送信するとともに、これにより発行される証明書に対応するライセンスキーを作成する。ライセンスキーは、たとえば、上記証明書発行依頼に応じて第１の認証サーバ７００から送信されてきた証明書１０Ａのデータの一部に対して特定の演算処理（たとえば、ハッシュ演算）を施すことにより作成される。なお、管理サーバ６００は、証明書１０Ａの一部を抜き出すのではなく、クライアント２００から送られてきた秘密コード等の特定の情報に対して数値演算（たとえば、ハッシュ演算）を施して、ライセンスキーを作成することもできる。また、管理サーバ６００は、予め当該管理サーバ６００に記憶されたコードを利用して、ライセンスキーを作成することもできる。
【００４５】
また、管理サーバ装置６００は、証明書に当該管理サーバ装置６００の署名を施すことにより、ライセンスキーを作成しても良い。
【００４６】
そして、管理サーバ６００は、認証サーバ７００が作成して送信してきた証明書１０Ａに、当該管理サーバ６００が作成したライセンスキーを埋込んで、証明書１０として、クライアント２００に送信する。
【００４７】
認証サーバ７００が作成した証明書は、認証サーバ７００には認証することができるが、認証サーバ８００は認証ができないものとする。
【００４８】
そして、本実施の形態では、認証サーバ８００と同じ管理サーバ６００によってドメインの管理をされる認証サーバ７００が発行した証明書により認証が行なえるようにするものである。
【００４９】
（ネットワークの構成）
図２は、ドメイン７０１やドメイン８０１に含まれるネットワークの構成を模式的に示す図である。
【００５０】
ネットワークには、クライアント装置２００を構成するパーソナルコンピュータ（ＰＣ）が複数含まれている。図２では、各ＰＣ２が、ＰＣ（１）〜ＰＣ（ｎ）で示されている。各ＰＣ２は、ネットワークケーブル３を通じてハブ４と接続されている。各ＰＣ２は、ハブ４およびルータ５を介して、図示しない別のネットワークに接続された端末や認証サーバ装置（認証サーバ装置７００等）、管理サーバ装置６００との接続が可能に構成されている。
【００５１】
（クライアント装置のハードウェア構成）
図３は、クライアント装置２００を構成するＰＣ２のハードウェア構成を模式的に示す図である。
【００５２】
図３を参照して、ＰＣ２は、当該ＰＣ２の動作を全体的に制御するＣＰＵ（Central Processing Unit）２５０、ＣＰＵ２５０のワークエリアとして機能するＲＡＭ（Random Access Memory）２５４、プログラムやデータなどを記憶するＲＯＭ（Read Only Memory）２５６、ＰＣ２に対して情報を入力するためのキーボードなどの入力装置２６０、他のＰＣ２や認証サーバ装置、管理サーバ装置、モニタ２Ａとの通信を行なう通信装置２６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）２６４、およびＰＣ２に対して着脱可能なＣＤ−ＲＯＭ（Compact Disk Read Only Memory）等の記録媒体２５２Ａとアクセスするメディアドライブ２５２とを備えている。つまり、ＰＣ２は、入力装置２６０を介して入力された情報の入力を受付け、通信装置２６２を介して他の端末やネットワークと接続可能であり、また、モニタ２Ａに当該ＰＣ２において処理される情報を表示させることができる。
【００５３】
そして、ＰＣ２は、上記のハードディスクや記録媒体２５２Ａに記憶されたプログラムが読込まれて実行されることによるデータの演算や加工により、証明書の発行の要求や、証明書の認証の要求を実行する、クライアント装置として機能する。
【００５４】
（管理サーバ装置のハードウェア構成）
図４は、管理サーバ装置６００を構成するコンピュータのハードウェア構成を模式的に示す図である。
【００５５】
図４を参照して、管理サーバ装置６００は、当該管理サーバ装置６００の動作を全体的に制御するＣＰＵ６５０、ＣＰＵ６５０のワークエリアとして機能するＲＡＭ６５４、プログラムやデータなどを記憶するＲＯＭ６５６、管理サーバ装置６００に対して情報を入力するためのキーボードなどの入力装置６６０、クライアント装置２００や認証サーバ装置７００，８００等の他の端末との通信を行なう通信装置６６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）６６４、および管理サーバ装置６００の本体に対して着脱可能なＣＤ−ＲＯＭ等の記録媒体６５２Ａとアクセスするメディアドライブ６５２とを備えている。つまり、管理サーバ装置６００は、入力装置６６０を介して入力された情報の入力を受付け、通信装置６６２を介して他の端末やネットワークと接続可能である。
【００５６】
そして、管理サーバ装置６００は、上記のハードディスクや記録媒体６５２Ａに記憶されたプログラムが読込まれて実行されることによるデータの演算や加工により、本実施の形態において説明される各種の情報処理を行なう、管理サーバとして機能する。
【００５７】
（認証サーバ装置のハードウェア構成）
図５は、認証サーバ装置７００を構成するコンピュータのハードウェア構成を模式的に示す図である。
【００５８】
図５を参照して、認証サーバ装置７００は、当該認証サーバ装置７００の動作を全体的に制御するＣＰＵ７５０、ＣＰＵ７５０のワークエリアとして機能するＲＡＭ７５４、プログラムやデータなどを記憶するＲＯＭ７５６、認証サーバ装置７００に対して情報を入力するためのキーボードなどの入力装置７６０、クライアント装置２００や認証サーバ装置７００，８００等の他の端末との通信を行なう通信装置７６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）７６４、および認証サーバ装置７００の本体に対して着脱可能なＣＤ−ＲＯＭ等の記録媒体７５２Ａとアクセスするメディアドライブ７５２とを備えている。つまり、認証サーバ装置７００は、入力装置７６０を介して入力された情報の入力を受付け、通信装置７６２を介して他の端末やネットワークと接続可能である。
【００５９】
そして、認証サーバ装置７００は、上記のハードディスクや記録媒体７５２Ａに記憶されたプログラムが読込まれて実行されることによるデータの演算や加工により、本実施の形態において説明される各種の情報処理を行なう、認証サーバとして機能する。
【００６０】
（クライアント装置の機能構成）
図６は、クライアント装置２００の機能ブロックを模式的に示す。
【００６１】
図６を参照して、ハブ４（図２を参照）を介してクライアント装置２００へ送信されるデータは、データ受信部２０２において受信される。
【００６２】
データ受信部２０２は、受信したデータ（パケット）が、自機宛のデータであるか否かを判断し、自機宛のデータであると判断すると、当該データをデータ解析部２０３に送る。
【００６３】
データ解析部２０３は、受信されたパケットからデータを抽出し、抽出されたデータの中に処理命令が含まれていれば、認証部２０４またはその他処理部２０７のいずれかで処理させる。
【００６４】
認証部２０４は、ネットワーク６（各ドメインに含まれるネットワーク）へのログイン時または定期的に、認証サーバ装置（認証局（ＣＡ：Certificate Authority）と同様の働きをするサーバ装置）または他のクライアント装置（ＰＣ２）に対して、認証や接続の許可を依頼する情報を送信する。ここで、他のクライアント装置に対して、認証や接続の許可を依頼する情報を、以下「認証／接続依頼」と記載する。
【００６５】
また、認証部２０４は、他のクライアント装置から、認証／接続依頼が送信されてきた場合には、当該認証／接続依頼から認証に用いる情報（証明書等）を抽出し、当該認証情報の検証を行なう。そして、認証部２０４は、抽出した情報（証明書）を、当該クライアント装置２００の所属する認証サーバ装置に送信して、当該証明書の認証を依頼する。
【００６６】
認証部２０４は、他のクライアント装置に対する認証結果の送信等、他の端末に対してメッセージを送信する必要が生じた場合には、データ作成部４１１に対して、メッセージの作成を依頼する。
【００６７】
データ受信部２０２が受信したデータに対して、認証部２０４が実行する処理以外の処理の実行が必要な場合には、その他処理部２０７が、当該処理を実行する。
【００６８】
データ送信部２１２は、データ作成部２１１が作成したデータを送信する。データ送信部２１２は、データ作成部２１１によって作成されたデータを、ネットワークパケットの形式にし、ネットワーク６を介して、送信先に配送する。
【００６９】
クライアント装置２００における上記した各構成要素は、ＣＰＵ２５０が各種のプログラムを実行することにより実現される。
【００７０】
クライアント装置２００において各種の処理を実行するためのプログラムや、各種のデータは、データ保持部２０６に記憶される。
【００７１】
（管理サーバ装置の機能構成）
図７は、管理サーバ装置６００の機能ブロックを模式的に示す。
【００７２】
図７を参照して、データ受信部６０２は、ネットワーク６上を流れるパケットが自機宛のパケットであるか否かを判断し、自機宛のデータであると判断すると、当該データをデータ解析部６０３に送る。
【００７３】
データ解析部２０３は、受信されたパケットからデータを抽出し、抽出されたデータの中に処理命令が含まれていれば、ライセンスキー発行・認証部６０４、証明書管理部６０５またはその他処理部６０７のいずれかで処理させる。
【００７４】
ライセンスキー発行・認証部６０４は、新規に参加したクライアント装置（または、デバイスやアプリケーション）に対して、ライセンスキーを発行（作成）し、証明書管理部６０５に送信する。
【００７５】
証明書管理部６０５は、クライアント装置２００が証明書の発行を要求した場合、当該クライアント装置２００に対して発行された証明書に、ライセンスキー発行・認証部６０４が発行したライセンスキーを埋め込む。
【００７６】
図１０に、ライセンスキーを埋め込まれた証明書の構成を模式的に示す。
図１０を参照して、証明書１０では、認証サーバ装置（認証サーバ装置７００または認証サーバ装置８００）によって作成された証明書１０Ａに、管理サーバ装置６００で作成されたライセンスキー１０Ｂが埋め込まれている。
【００７７】
図７に戻って、ライセンスキー発行・認証部６０４は、ライセンスキーの発行を、証明書の発行後に、当該証明書のデータの一部を利用して作成しても良いし、証明書とは別に独立して作成しても良い。発行されたライセンスキーは、証明書管理部６０７に送られる。
【００７８】
また、ライセンスキー発行・認証部６０４は、クライアント装置２００から送信されてきたライセンスキーに対し、自己が発行したライセンスキーであるか否かを判断する。
【００７９】
証明書管理部６０５は、クライアント装置２００から認証サーバ装置７００に対して証明書発行依頼を受けた場合、当該発行依頼を認証サーバ装置７００に送信する。つまり、認証サーバ装置７００への証明書発行依頼を中継する。
【００８０】
証明書管理部６０５は、証明書と、当該証明書について発行（作成）したライセンスキーを関連付けて、図９に示したような情報（ライセンスキー管理テーブル）をデータ保持部７０６に記憶させることにより、管理する。
【００８１】
図９を参照して、ライセンスキー管理テーブルでは、証明書ごとに管理番号が付され、管理番号ごとに、ライセンスキー（848ddd02-4a92-・・・等）と証明書が関連付けられて記憶されている。また、管理番号ごとに、当該証明書が認証を受けることができるドメインを特定する情報（Region情報）が記憶されている。
【００８２】
本実施の形態において、ドメイン７０１とドメイン８０１は、たとえば同じ企業についての異なる管轄地域とされる。そして、JPは、たとえば日本国を意味し、EUは、ヨーロッパ地域を意味する。
【００８３】
当該テーブルにおいて、「JP」は、ドメイン７０１の認証サーバ装置７００によって認証が可能な旨を示し、「EU」は、ドメイン８０１の認証サーバ装置８００によって認証が可能な旨を示し、「World」は、当該企業が管轄する世界中の認証サーバ装置によって認証が可能な旨を示す。
【００８４】
また、当該テーブルにおいて、「クライアント装置０１」「クライアント装置０２」「クライアント装置０３」「クライアント装置０４」は、それぞれ異なるクライアント装置を意味する。
【００８５】
本実施の形態のライセンスキー管理テーブルでは、証明書そのものが管理（記憶）されているが、証明書自体の代わりに、各証明書を一意に特定できる情報が記憶されていても良い。
【００８６】
図７に戻って、データ受信部６０２が受信したデータに対して、認証部６０４と証明書管理部６０５が実行する処理以外の処理の実行が必要な場合には、その他処理部６０７が、当該処理を実行する。
【００８７】
証明書管理部６０５は、ライセンスキーを埋め込んだ証明書の、クライアント装置２００への送信に際し、データ作成部６１１にメッセージの作成を依頼する。
【００８８】
データ送信部６１２は、データ作成部６１１によって作成されたデータを、ネットワークパケットの形式にし、ネットワーク６を介して、送信先に配送する。
【００８９】
管理サーバ装置６００における上記した各構成要素は、ＣＰＵ６５０が各種のプログラムを実行することにより実現される。
【００９０】
管理サーバ装置６００において各種の処理を実行するためのプログラムや、各種のデータは、データ保持部６０６に記憶される。
【００９１】
（認証サーバ装置の機能構成）
図８は、認証サーバ装置７００の機能ブロックを模式的に示す。
【００９２】
図８を参照して、データ受信部７０２は、ネットワーク６上を流れるパケットが自機宛のパケットであるか否かを判断し、自機宛のデータであると判断すると、当該データをデータ解析部７０３に送る。
【００９３】
データ解析部７０３は、受信されたパケットからデータを抽出し、抽出されたデータの中に処理命令が含まれていれば、発行・認証部７０４、他証明書管理部７０５またはその他処理部７０７のいずれかで処理させる。
【００９４】
発行・認証部７０４は、新規に参加したクライアント装置（または、デバイスやアプリケーション）に対して、証明書を発行（作成）する。
【００９５】
また、発行・認証部７０４は、クライアント装置２００が証明書の認証を要求した場合、当該証明書が自機で発行したものであるか否かを判断し、自機で発行したものでないと判断すると、他証明書管理部７０５に、当該証明書とともに送信されてきたライセンスキーについての処理を依頼する。
【００９６】
他証明書管理部７０５は、証明書内に埋め込まれる等して証明書とともに送信されてきたライセンスキーを必要に応じて証明書から抽出する。そして、他証明書管理部７０５は、管理サーバ装置６００に、当該ライセンスキーの検証を依頼する。このとき、他証明書管理部７０５は、管理サーバ装置６００に当該ライセンスキーを送信する。
【００９７】
管理サーバ装置６００は、認証サーバ装置７００が送信したライセンスキーを受信すると、上記したライセンスキー管理テーブルを参照して、当該ライセンスキーが当該テーブルに記憶されているものであるか否かを判断することにより、検証を実行する。そして、管理サーバ装置６００は、当該テーブルに記憶されていれば、当該ライセンスキーの検証に成功した旨を認証サーバ装置７００に返信し、記憶されていなければ、当該ライセンスキーの検証に失敗した旨を認証サーバ装置７００に返信する。
【００９８】
認証サーバ装置７００は、ライセンスキーの検証に成功した旨の返信を受けると、クライアント装置２００に証明書の認証が成功した旨を返信し、ライセンスキーの失敗に成功した旨の返信を受けると、クライアント装置２００に証明書の認証が失敗した旨を返信する。
【００９９】
データ受信部７０２が受信したデータに対して、発行・認証部７０４と他証明書管理部７０５が実行する処理以外の処理の実行が必要な場合には、その他処理部７０７が、当該処理を実行する。
【０１００】
発行・認証部７０４が証明書の認証結果をクライアント装置２００に返信する場合等、他の機器にメッセージを送信する必要が生じた場合には、データ作成部７１１に対してメッセージの作成の依頼がなされる。
【０１０１】
データ送信部７１２は、データ作成部７１１によって作成されたデータを、ネットワークパケットの形式にし、ネットワーク６を介して、送信先に配送する。
【０１０２】
認証サーバ装置７００における上記した各構成要素は、ＣＰＵ７５０が各種のプログラムを実行することにより実現される。
【０１０３】
認証サーバ装置７００において各種の処理を実行するためのプログラムや、各種のデータは、データ保持部７０６に記憶される。
【０１０４】
なお、他証明書管理部７０５は、一度、管理サーバ装置６００にライセンスキーの検証を依頼し、検証が成功した旨の返信を得た証明書を、たとえばデータ保持部７０６内のリスト（たとえば、セーフリストと呼ぶ）に保存しても良い。そして、発行・認証部７０４は、当該セーフリストに保存された証明書については、次回、クライアント装置２００から認証の要求があった場合、ライセンスキーの検証を管理サーバ装置６００に依頼することなく、認証が成功した旨をクライアント装置２００に返信する。
【０１０５】
また、上記セーフリストに証明書を登録する代わりに、検証が成功したライセンスキーを送信してきたクライアント装置２００に対して、発行・認証部７０４が証明書を発行しても良い。
【０１０６】
認証サーバ装置８００のブロック構成は、認証サーバ装置７００のブロック構成と同様とすることができるため、ここでは詳細な説明は繰り返さない。
【０１０７】
（認証システムにおける通信内容について）
以下、本実施の形態において、クライアント装置同士の通信開始の際の通信内容について、当該通信内容を説明する図１１を参照しつつ具体的に説明する。
【０１０８】
図１１を参照して、本実施の形態では、ドメイン７０１において、認証サーバ装置７００から証明書の発行を受けたクライアント装置２００（図１１中のクライアント装置２００Ｘ）が、ドメイン７０１からドメイン８０１に、属するドメインを移動させたものとする。
【０１０９】
移動後のドメインにおいて、クライアント装置２００が、他のクライアント装置２１０と通信を開始するために、クライアント装置２１０に自機の証明書１０（認証サーバ装置７００によって発行されたもの）を送信する。クライアント装置２１０は、当該証明書１０を、クライアント装置２１０が属するドメイン８０１の認証サーバ装置８００によって認証しようとしたところ、認証に失敗する。証明書１０は、認証サーバ装置８００ではなく、認証サーバ装置７００によって作成されたものだからである。そして、この旨が、クライアント装置２１０からクライアント装置２００へ通知される。
【０１１０】
なお、クライアント装置２００へは、クライアント装置２１０から、当該クライアント装置２１０の証明書１１（認証サーバ装置８００によって発行されたもの）を受信している。
【０１１１】
当該通知を受けて、クライアント装置２００は、証明書１１に含まれる認証サーバ装置８００を同定する情報を抽出し（図１１の処理（１Ａ））、当該情報に基づき、認証サーバ装置８００に対して、自機の証明書１０の認証を要求する（図１１の処理（１Ｂ）の証明書発行送付）。
【０１１２】
これに応じて、認証サーバ装置８００は、当該証明書１０の認証を行なうが、自機が発行した証明書ではないため認証に一旦失敗する（図１１の処理（２））。
【０１１３】
そして、認証サーバ装置８００は、証明書１０からライセンスキー（図１０のライセンスキー１０Ｂ）を抽出し（図１１の処理（３））、管理サーバ装置６００へ送信する（図１１の処理（４））。
【０１１４】
これに応じて、管理サーバ装置６００は、送信されてきたライセンスキーが、ライセンス管理テーブルに記憶されているか否かにより、自機が作成したライセンスキーであるか否かを判断する。
【０１１５】
なお、管理サーバ装置６００は、自機が作成したライセンスキーであるか否かの判断の際に、必ずしもライセンスキー管理テーブルを記憶している必要はなく、ライセンスキーの作成の際に、管理サーバ装置６００に特有の情報をライセンスキーに含ませておき、当該特有の情報が含まれているか否か、当該特有の情報に基づく条件を満たすか等により、自機が作成したライセンスキーであるか否かを判断しても良い。
【０１１６】
また、証明書１０に複数のライセンスキーが含まれている場合には、認証サーバ装置８０は当該複数のライセンスキーを管理サーバ装置６００へ送信する。管理サーバ装置６００は、これらの複数のライセンスキーの少なくとも１つが自機で作成されていれば証明書の認証を許可する情報を認証サーバ８００へ送信しても良いし、すべてのライセンスキーが自機で作成されていることを条件として当該証明書の認証を許可する情報を送信しても良い。
【０１１７】
自機が作成したライセンスキーであると判断すると、管理サーバ装置６００は、クライント装置２００について、上記ライセンスキー管理テーブルにおけるＡｒｅａ情報（Ｒｅｇｉｏｎ情報）を更新し（図１１の処理（５））、そして、認証サーバ装置８００に対して、当該クライアント装置２００に対する新たなＣｏｍｍｏｎ Ｎａｍｅ（ＣＮ）を送付する（図１１の処理（６））。これに応じて、認証サーバ装置８００は、クライアント装置２００に対して、管理サーバ装置６００から受信したＣＮや、証明書１０に含まれるＣＳＲ（Certificate Signing Request）等に基づいて、クライアント装置２００に対して新たな証明書１２を作成し（図１１の処理（７））、クライアント装置２００へ送信する（図１１の処理（８））。これにより、クライアント装置２００は、認証サーバ装置８００によって認証され得る証明書１２に基づき、クライアント装置２１０との通信が可能となる。
【０１１８】
これにより、結果として、管理サーバ装置６００は、受信した管理情報が自機の作成したライセンスキーであると判断すると、認証サーバ装置８００に対して、クライアント装置２００の証明書の認証を許可するための情報を送信することとなる。
【０１１９】
一方、管理サーバ装置６００は、受信した管理情報が自機の作成したライセンスキーではないと判断すると、認証サーバ装置８００に対して、クライアント装置２００の証明書の認証を許可しないための情報を送信する。これに応じて、認証サーバ装置８００は、クライアント装置２００に、証明書の認証が失敗した旨を返信する。
【０１２０】
なお、管理サーバ装置６００は、ライセンスキー管理テーブルを有する場合、新たなライセンスキーに応じて、当該テーブルの記憶内容を更新する。
【０１２１】
また、管理サーバ装置６００は、図１１の処理（４）において、自機が作成したライセンスキーであると判断した場合に、クライアント装置２００に対し、新たなライセンスキーを作成して、認証サーバ装置８００に当該新たなライセンスキーを埋め込んだ新たな証明書１１を作成させても良い。このような場合、認証サーバ装置７００に対して、クライアント装置２００に発行した証明書１０を利用できないものとする処理（利用停止）を通知することが好ましい（図１１の処理（９））。
【０１２２】
以上説明した本実施の形態では、認証サーバ装置７００により第１の認証サーバが構成され、認証サーバ装置８００により第２の認証サーバが構成されている。
【０１２３】
［第２の実施の形態］
図１２は、認証システムの第２の実施の形態の構成を模式的に示す図である。
【０１２４】
本実施の形態では、ドメイン７０１に所属するクライアント装置２００が、ドメイン８０１に所属するクライアント装置２１０と通信を試み、クライアント装置２１０に、認証サーバ装置７００が発行した証明書１０を送信する。
【０１２５】
クライアント装置２１０は、当該クライアント装置２１０が属するドメイン８０１の認証サーバ装置８００に対し、証明書１０の検証を依頼する（図１２の処理（１））。
【０１２６】
これに応じて、認証サーバ装置８００は、当該証明書１０の認証を行なうが、自機が発行した証明書ではないため認証に一旦失敗する（図１２の処理（２））。
【０１２７】
そして、認証サーバ装置８００は、証明書１０からライセンスキー（図１０のライセンスキー１０Ｂ）を抽出し（図１２の処理（３））、管理サーバ装置６００へ送信する（図１２の処理（４））。
【０１２８】
これに応じて、管理サーバ装置６００は、送信されてきたライセンスキーが、ライセンス管理テーブルに記憶されているか否かにより、自機が作成したライセンスキーであるか否かを判断する。なお、管理サーバ装置６００は、自機が作成したライセンスキーであるか否かの判断の際に、必ずしもライセンスキー管理テーブルを記憶している必要はなく、ライセンスキーの作成の際に、管理サーバ装置６００に特有の情報をライセンスキーに含ませておき、当該特有の情報が含まれているか否かにより、自機が作成したライセンスキーであるか否かを判断しても良い。
【０１２９】
自機が作成したライセンスキーであると判断すると（図１２の処理（５））、管理サーバ装置６００は、クライント装置２００の認証を許可する情報を、認証サーバ装置８００に対して送信する（図１２の処理（６））。これに応じて、認証サーバ装置８００は、クライアント装置２００のライセンスキーをセーフリストに登録するとともに（図１２の処理（７））、クライアント装置２１０に対して、証明書１０の認証に成功した旨を通知する（図１２の処理（８））。これにより、クライアント装置２００は、認証サーバ装置８００によって認証され得る証明書１２に基づき、クライアント装置２１０との通信が可能となる。
【０１３０】
［第３の実施の形態］
図１３は、認証システムの第３の実施の形態の構成を模式的に示す図である。
【０１３１】
以上説明した第１の実施の形態では、クライアント装置２００は、認証サーバ装置７００による証明書の発行を要求する際、管理サーバ装置６００に当該発行要求を送信していた。
【０１３２】
本実施の形態では、クライアント装置２００は、認証サーバ装置７００に直接発行依頼を送信する（図１３の処理（１））。
【０１３３】
当該発行依頼の受信に応じて、認証サーバ装置７００は、証明書を発行するとともに（図１３の処理（２））、管理サーバ装置６００に、クライアント装置２００に対するライセンスキーの作成を依頼する（図１３の処理（３））。
【０１３４】
これに応じて、管理サーバ装置６００は、ライセンスキー（図１０のライセンスキー１０Ｂ）を作成し（図１３の処理（４））、認証サーバ装置７００へ送信する（図１３の処理（５））。
【０１３５】
これに応じて、認証サーバ装置７００は、作成した証明書にライセンスキーを埋め込み（図１３の処理（６））、証明書１０をクライアント装置１０へ送信する（図１３の処理（７））。本実施の形態では、ライセンスキーは、管理サーバ装置６００で作成され、認証サーバ装置７００を介して、クライアント装置２００へ送信される。
【０１３６】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【０１３７】
２  ＰＣ、２Ａ  モニタ、３  ネットワークケーブル、４  ハブ、５  ルータ、１０，１０Ａ，１１，１２  証明書、１０Ｂ  ライセンスキー、２５０，６５０，７５０  ＣＰＵ、２５２，６５２，７５２  メディアドライブ、２５２Ａ，６５２Ａ，７５２  記録媒体、２００，２１０  クライアント装置、２０２，６０２，７０２  データ受信部、２０３，６０３，７０３  データ解析部、２０４  認証部、２０６，６０６，７０６  データ保持部、２０７，６０７，７０７  処理部、２１１，６１１，７１１  データ作成部、２１２，６１２，７１２  データ送信部、６０４  ライセンスキー発行・認証部、６０５  証明書管理部、７００，８００  認証サーバ装置、７０１，８０１  ドメイン、７０４  証明書発行・認証部、７０５  他証明書管理部。
【図１】
0005402301.tif 000002
【図２】
0005402301.tif 000003
【図３】
0005402301.tif 000004
【図４】
0005402301.tif 000005
【図５】
0005402301.tif 000006
【図６】
0005402301.tif 000007
【図７】
0005402301.tif 000008
【図８】
0005402301.tif 000009
【図９】
0005402301.tif 000010
【図１０】
0005402301.tif 000011
【図１１】
0005402301.tif 000012
【図１２】
0005402301.tif 000013
【図１３】
0005402301.tif 000014